크리덴셜 스터핑이란?

개인정보 관련 범죄

최근 개인의 클라우드를 해킹하여 이를 볼모로 돈을 요구하는 사이버 범죄가 늘어나고 있습니다. 대부분의 사용자가 편의를 위해 여러 플랫폼에서 같거나 비슷한 비밀번호를 사용한다는 점을 악용한 범죄인데요. 실제로 여러 연예인이 이러한 범죄 행위에 당해 개인적인 카톡 내용이나 사진을 유출 당하는 일도 있었습니다. 이를 크리덴셜 스터핑 공격이라고 합니다.

오늘은 크리덴셜 스터핑에 대해 자세히 알아보고, 이러한 범죄를 예방하기 위해 반드시 고려해야 하는 방법들을 배워보겠습니다.

크리덴셜 스터핑

크리덴셜 스터핑은 다른 말로 자격증명 스터핑이라고도 합니다. 계정, 비밀번호, 카드 번호 등 타인의 개인 정보가 유출되었을 때, 이러한 유출된 정보를 통해 다른 플랫폼 및 시스템에 접속하는 수법입니다. 사용자가 A 사이트와 B 사이트에서 동일한 비밀번호를 쓰는 경우, A 사이트에서 취득한 아이디 및 비밀번호로 B 사이트에 로그인할 수 있다는 것인데요. 여러 플랫폼과 앱에 무작위로 접속을 시도한다는 점에서 성공 확률이 낮을 거라고 예상하시겠지만, 실제로 크리덴셜 스터핑의 성공률은 약 0.2%에 육박합니다. 또한 크리덴셜 스터핑 때문에 발생하는 손실이 연간 최대 5천4백만 달러라는 조사 결과도 있습니다.

크리덴셜 스터핑의 작동 원리

크리덴셜 스터핑이 어떻게 작동하는지 더 자세히 알아볼까요?

우선 정보 수집 단계가 있습니다. 해커는 랜섬웨어나 다크 웹을 통해 유출된 개인정보를 직, 간접적으로 수집합니다. 그리고 해당 개인정보를 이용하여 웹상의 로그인 페이지에서 접속 요청을 전송합니다. 크리덴셜 스터핑의 가장 큰 특징은 자동화라고 할 수 있는데, 일일이 로그인 시도를 하는 대신 봇이나 도구를 통해 자동으로 몇만 건 이상의 트래픽을 요청할 수 있습니다. 이때 각 요청이 모두 다른 IP 주소 및 브라우저에서 발생하는 것처럼 보이게 하기 위해 크리덴셜 스터핑 도구를 사용해 프록시 목록을 통합합니다. 대량의 트래픽이 동일한 위치에서 들어오면 웹사이트 측에서 로그인을 차단하거나 방지할 수도 있기 때문입니다.

크리덴셜 스터핑의 위험성

웹과 모바일에 대한 사용도가 높아질수록 이러한 범죄는 더욱 증가합니다. 다양한 웹사이트와 계정을 이용하는 사용자일수록 로그인 정보를 기억하기 쉽도록 통일하는 경향이 있기 때문입니다. 따라서 실제 개인정보가 유출되지 않은 웹사이트에서도 크리덴셜 스터핑은 발생할 수 있습니다.

-유명인 휴대폰 해킹

서두에서 이야기한 것처럼, 유명인들의 휴대폰 해킹은 크리덴셜 스터핑의 대표적인 사례입니다. 해커가 클라우드 계정에 접근하여 사적인 사진이나 정보를 빼내어 협박하거나 유출하는 범죄는 여러 번 발생해왔는데요. 특히 유명인의 경우, 실제 부정 결제까지 가지 않더라도 사진이나 카톡 내용 등의 사생활 정보만으로도 상당한 금전을 요구할 수 있기 때문에 언제나 개인정보 보호에 주의하여야 합니다.

-애플리케이션 부정 결제

모바일 간편 결제 서비스의 상용화와 함께, 크리덴셜 스터핑을 통한 부정 결제 사건이 발생하고 있습니다. 금융사에서는 고객의 결제 비밀번호를 저장하거나 수집하지 않지만, 다른 경로로 유출된 개인 정보가 실제 결제와 동일한 프로세스로 사용된다면 부정 결제를 막을 방법은 거의 없습니다.

-프랜차이즈 브랜드 적립금 탈취

최근 자체 충전금이나 적립금 제도를 시행하는 브랜드가 많아지면서 이 금액을 탈취하는 사례도 등장했습니다. 특히 현금 없는 매장을 통해 충전금 사용을 장려하는 스타벅스와 같은 브랜드는 크리덴셜 스터핑의 표적이 되기 쉽습니다. 마트의 경우도 마찬가지입니다. 마트에서 현금처럼 사용할 수 있는 적립금 역시 크리덴셜 스터핑의 주요 표적입니다.

크리덴셜 스터핑 예방법

이러한 크리덴셜 스터핑은 다음과 같은 방법으로 예방할 수 있습니다.

1. 비밀번호 관리

여러 계정에서 동일한 비밀번호를 사용하지 마세요. 또한, 주기적으로 비밀번호를 변경하세요.

2. 다중 인증 방식

비밀번호뿐만 아니라 지문인식, ARS 인증, 문자 인증 등 2차, 3차 인증을 활용하세요.

3. 봇 관리

봇 관리를 통해 크리덴셜 스터핑 공격을 방어할 수 있습니다. 자동화된 공격을 빠르게 탐지하고 방어하세요.

에지오의 봇 관리

에지오의 봇 솔루션은 WAF와 함께 웹 사이트 및 API의 봇 트래픽에 대한 명확하고 정확한 청사진을 제공하는 서비스입니다. 인공 지능 및 머신 러닝을 기반으로 애플리케이션 요청이 신뢰할 수 있는 출처에서 오는 것인지 실시간으로 정확하게 판단하고, 부적합한 트래픽을 완화합니다. 에지오는 공격자가 진화하고 전술을 변경하여 현재와 미래를 보호할 수 있도록 자동으로 적응하여 완전한 효율성을 유지합니다.

다시 말해, 에지오는 인공지능과 머신러닝을 통해 봇 트래픽을 명확하고 정확하게 파악할 수 있는 최고의 솔루션입니다. 지금 에지오와 함께 여러분의 비즈니스를 사이버 공격으로부터 보호하세요.